Vulnerabilidades

Dell EMC ECS versiones anteriores a 3.4.0.1, presentan una vulnerabilidad de tipo XSS. Un usuario malicioso autenticado remoto podría explotar esta vulnerabilidad para almacenar código HTML o JavaScript malicioso en un almacén de datos de aplicaciones de confianza. Cuando los usuarios víctimas acceden al almacén de…

Se presenta una vulnerabilidad de uso de la memoria previamente liberada en el kernel de Linux versiones hasta 5.5.2, en la función n_tty_receive_buf_common en el archivo drivers/tty/n_tty.c.

IBM Cloud Automation Manager versión 3.2.1.0, no establece el atributo seguro en tokens de autorización o cookies de sesión. Los atacantes pueden ser capaces de obtener los valores de las cookies mediante el envío de un enlace http:// hacia un usuario o mediante una plantación de este enlace en un sitio al que va el…

En cloud-init versiones hasta 19.4, la función rand_user_password en el archivo cloudinit/config/cc_set_passwords.py posee un pequeño valor predeterminado de pwlen, lo que facilita a atacantes adivinar las contraseñas.

cloud-init versiones hasta 19.4 se basa en Mersenne Twister para una contraseña aleatoria, lo que facilita a atacantes predecir contraseñas, porque la función rand_str en el archivo cloudinit/util.py llama a la función random.choice.

Se presenta una vulnerabilidad de divulgación de información en HP SiteScope versiones 11.2 y 11.3 en Windows, Linux y Solaris, HP Asset Manager versiones 9.30 hasta 9.32, 9.40 hasta 9.41, 9.50 y Asset Manager Cloudsystem Chargeback versión 9.40, lo que podría permitir a un usuario malicioso remoto obtener información…

Una falta de comprobación en Nextcloud Server versiones 14.0.3, podría otorgar al destinatario la posibilidad de extender la fecha de expiración de un recurso compartido que recibió.

Un error en Nextcloud Server versión 14.0.4, podría exponer más datos de lo previsto en recursos compartidos de enlaces compartidos por parte del compartidor.

Se detectó una vulnerabilidad de tipo Cross-Site Scripting en Nextcloud Server versión 16.0.1, en la generación de svg.

Una autorización inapropiada en Nextcloud Server versión 17.0.0, causa la pérdida de vistas previas y archivos cuando un enlace compartido file-drop es abierto por medio de la aplicación gallery.

Un ataque de tipo server-side request forgery autenticado en Nextcloud versión 16.0.1, permitió detectar servicios locales y remotos al agregar una nueva suscripción en la aplicación calendar.

Una preservación inapropiada de permisos en Nextcloud Server versión 14.0.3, causa que los detalles de evento sean filtrados cuando se comparte un evento no público.

Una Comprobación de Entrada Inapropiada en Nextcloud Server versión 15.0.7, permite a los administradores de grupo crear usuarios con los ID de carpetas del sistema.

Una exposición de información privada en Nextcloud Server versión 16.0.1, causa que el servidor envíe su dominio e ID de usuario hacia el Nextcloud Lookup Server sin más datos cuando el servidor Lookup está deshabilitado.

Una falta de saneamiento estrictamente suficiente en la aplicación Android Nextcloud versión 3.6.0, permitió a un atacante obtener información de contenido de tablas protegidas cuando se usan consultas personalizadas.

Una preservación de permisos inapropiada en Nextcloud Server versión 16.0.1, causa que los recursos compartidos sean capaces de compartir con permisos de escritura cuando comparte el punto de montaje de un recurso compartido que recibieron, como un enlace público.

Un control de acceso inapropiado en Nextcloud Talk versión 6.0.3, filtra la existencia y el nombre de las conversaciones privadas cuando son vinculadas a otro elemento compartido por medio de la funcionalidad projects.

Una neutralización inapropiada de los nombres de archivo, nombres de conversación y nombres de tarjeta en Nextcloud Server versión 16.0.3, Nextcloud Talk versión 6.0.3 y Nextcloud Deck versión 0.6.5, causa una vulnerabilidad de tipo XSS cuando se vinculan entre sí en un proyecto.

Una falta de escape de HTML en el Updater of Nextcloud versión 15.0.5, permitió un ataque de tipo XSS reflejado al iniciar el actualizador desde una ubicación maliciosa.

Una falta de comprobación en Nextcloud Server versión 17.0.0, permitió a un atacante configurar un nuevo segundo factor cuando se intenta iniciar sesión.

Los intentos pendientes de compartir remotamente en Nextcloud versión 16, permiten una contaminación de DNS cuando se ejecuta durante mucho tiempo.

Una comprobación incorrecta de la hora del sistema en la aplicación Android versión 3.9.0, causa una omisión de la protección de bloqueo cuando se cambia la hora del sistema al pasado.

Una falta de saneamiento en la aplicación iOS versión 2.24.4, causa una ataque de tipo XSS al abrir archivos HTML maliciosos.

Un error en Nextcloud Server versión 17.0.1, causa que las reglas de flujo de trabajo dependan de su comportamiento sobre la extensión del archivo cuando se comprueban los mimetypes de archivos.

Un error en Nextcloud Server versión 15.0.2, causa que los inicios de sesión 2FA pendientes no sean expirados correctamente cuando se restablece la contraseña del usuario.